Agente Polkit o agente segreto: quale richiesta manca?

Leggete il testo della finestra prima di toccare qualsiasi configurazione. Una richiesta chiede l’autorizzazione a cambiare la rete della macchina; l’altra chiede il segreto che serve a una connessione. Provengono da componenti diversi, falliscono per motivi diversi, e ripararne una non ripara mai l’altra. Il messaggio indica con quale delle due avete a che fare.

Partite da quel nome e non dalla VPN, che è solo il motivo per cui è stata richiesta l’operazione.

Quale richiesta vi manca davvero?

Una richiesta di autorizzazione locale significa che il desktop domanda se questo utente può eseguire un’operazione privilegiata. Una richiesta di segreto significa che l’archivio delle connessioni ha bisogno di una password, di una passphrase per la chiave o di un token prima che il tunnel possa essere costruito. Alla prima risponde un agente di autenticazione nella vostra sessione; alla seconda un agente segreto che il servizio di gestione della rete può raggiungere. Se il messaggio dice che non è stato trovato alcun agente di autenticazione, non è ancora stata richiesta alcuna password VPN.

Quest’ordine conta quando segnalate il problema. Il contesto di avvio, l’operazione locale richiesta, l’esito dell’autorizzazione e qualsiasi errore di connessione successivo sono quattro fatti distinti, e fonderli produce un rapporto su cui nessuno può agire.

L’agente Polkit vive nella vostra sessione

Polkit tiene un’operazione di sistema privilegiata separata dal programma ordinario che la richiede, e un agente nella sessione dell’utente presenta quell’interazione. Un desktop leggero, un lanciatore avviato da un terminale nudo o una sessione che ha perso il suo agente possono rendere quell’interazione non disponibile. Controllate come è stata avviata l’applicazione prima di supporre che la politica sia sbagliata. Una sessione solo testuale ha bisogno del proprio agente supportato, non di uno grafico preso in prestito da un altro accesso.

Copiare indirizzi del bus di sessione o variabili di visualizzazione dall’ambiente di un altro utente non è un piano di autorizzazione. Produce una sessione che sembra connessa e che comunque non riesce a rispondere correttamente alla richiesta.

L’agente segreto fornisce qualcosa di diverso

Il servizio di gestione della rete chiede a un agente segreto credenziali che non memorizza, e l’agente mostra quella richiesta all’utente. Un client a riga di comando con la propria richiesta interattiva è uno di questi agenti; una shell desktop di solito ne fornisce un altro. Rendere disponibile un segreto non concede l’autorità di modificare la rete del sistema, e riparare l’autorizzazione locale non crea una credenziale mancante. Un flusso di lavoro può aver bisogno di entrambe le risposte, e sempre in quest’ordine.

Se la richiesta del segreto non compare mai, guardate a quale agente il servizio può arrivare e non alla politica di polkit.

Riparate la sessione, non il livello di privilegio

Usate l’agente supportato del desktop e l’integrazione all’avvio invece di eseguire l’intera interfaccia VPN come root. Concedere a ogni utente l’amministrazione di rete incondizionata, o disattivare il servizio di autorizzazione, scambia una richiesta mancante con un buco permanente. Su apparecchiature gestite l’amministratore può richiedere deliberatamente un operatore approvato, e la correzione giusta è lavorare dentro quella decisione. Consultate la vista dei permessi supportati per vedere cosa può richiedere l’utente attuale.

Non fondete la risposta locale nell’esito dell’autenticazione del gateway; sono due eventi. Neppure una richiesta di segreto interattiva in un terminale esenta qualcuno dalla politica di autorizzazione, per comoda che sembri.

Annotate quale agente ha risposto, in quale sessione, e cosa è successo dopo.